Phishing-Simulation einführen: Ablauf und Rechtliches

Fast jeder erfolgreiche Angriff beginnt mit einer E-Mail. Deshalb steht die Phishing-Simulation heute im Zentrum jeder Awareness-Arbeit. Zunächst schickt sie harmlose Test-Mails an die Belegschaft. Danach misst sie, wer klickt und wer meldet. Das klingt simpel. Zudem liegt zwischen einem guten Programm und einer Blamage viel Handwerk. Genau darum geht es hier.

Dieser Beitrag zeigt den ganzen Weg für ein KMU. Zunächst klären wir, was eine Phishing-Simulation bringt. Danach folgt der Ablauf in vier Phasen. Außerdem widmet sich ein Abschnitt dem Rechtlichen in Österreich, also Datenschutz und Betriebsrat. Zuletzt ordnen wir alles in ein größeres Security-Awareness-Programm ein. Somit haben Sie am Ende einen Plan, den Sie am Montag starten können.

Was eine Phishing-Simulation leistet

Eine Phishing-Simulation prüft, wie Ihre Belegschaft auf gefälschte E-Mails reagiert. Dazu versendet sie kontrollierte Test-Mails. Diese sind echten Angriffen nachempfunden. Klickt jemand auf den Link, landet er auf einer harmlosen Lernseite. Somit wird aus einem Fehler eine Lektion, die nichts kostet. Genau das ist der Sinn.

Der Bedarf ist real. Denn Phishing zählt seit Jahren zu den häufigsten Einfallstoren. Das BSI weist zudem auf die Qualität dieser Fälschungen hin. Die Mails wirken echt. Ebenso tragen sie Logos und passen zum Alltag. Deshalb hilft reines Bauchgefühl nicht weiter. Vielmehr braucht Ihr Team Übung an echten Beispielen.

Warum Technik allein nicht reicht

Spamfilter fangen viel ab. Dennoch rutschen die gefährlichsten Mails durch. Denn sie sind gezielt und individuell. Am Ende sitzt ein Mensch vor dem Bildschirm. Genau dort setzt die Phishing-Simulation an. Somit macht sie den Faktor Mensch messbar. Der Mensch bleibt die letzte Verteidigungslinie. Also lohnt es sich, diese Linie zu stärken.

Übung schlägt Warnung

Ein Rundschreiben verpufft nach zwei Tagen. Hingegen bleibt eine erlebte Situation hängen. Wer einmal auf einen Test hereinfiel, erkennt den nächsten Trick schneller. Genau dieser Lerneffekt ist der Gewinn. Deshalb geht es nie um die Klickzahl allein. Vielmehr zählt das Verhalten danach. Somit verändert eine gute Phishing-Simulation, wie Ihr Team mit Mails umgeht.

Auch die Regulatorik drängt in diese Richtung. Unter NIS2 und Artikel 21 gehören Schulung und Sensibilisierung zu den Pflichten. Zudem liefert ein Programm mit belegbaren Zahlen den Nachweis für den Prüfer. Somit erfüllt die Übung zwei Zwecke. Zunächst schützt sie vor Angriffen. Außerdem belegt sie Ihre Sorgfalt gegenüber der Behörde.

Der Ablauf in vier Phasen

Eine Phishing-Simulation folgt einem klaren Ablauf. Vier Phasen bauen aufeinander auf: Planung, Kampagne, Auswertung und Schulung. Wer die Reihenfolge einhält, vermeidet Fehler. Zudem wird das Programm dadurch wiederholbar. Genau das zählt. Denn eine einzige Kampagne bringt wenig.

Phase eins: Planung

Zunächst steht das Ziel. Legen Sie fest, was Sie messen wollen. Danach wählen Sie ein Szenario, das zu Ihrem Betrieb passt. Das ist etwa eine gefälschte Paket-Mail oder eine angebliche Rechnung. Zudem definieren Sie Empfängerkreis und Zeitraum. Wichtig ist außerdem die Abstimmung mit Geschäftsführung und Betriebsrat. Dazu gleich mehr. Denn ohne saubere Planung läuft die Phishing-Simulation in die falsche Richtung.

Phase zwei: Kampagne

Jetzt gehen die Test-Mails raus. Verteilen Sie den Versand über mehrere Tage. Somit warnt sich niemand vor. Ein einheitliches Niveau am Anfang schafft eine ehrliche Basis. Danach steigern Sie die Raffinesse über mehrere Runden. Wer sofort mit dem perfekten Fake startet, erzeugt nur Frust. Zudem läuft die Kampagne im Hintergrund. Dabei erfasst sie Klicks, Eingaben und Meldungen.

Phase drei: Auswertung

Nach dem Versand kommen die Zahlen. Zunächst sehen Sie Klickrate, Meldequote und Verlauf. Werten Sie immer aggregiert aus, also nie namentlich. Interessant sind Muster. Welche Abteilung ist stärker gefährdet? Welches Szenario zog besonders? Somit steuern diese Erkenntnisse die nächste Runde. Zudem fließen sie in Ihren IT-Security-Audit ein. Denn sie zeigen den Reifegrad der menschlichen Ebene.

Phase vier: Schulung der Klicker

Wer geklickt hat, bekommt sofort eine kurze Lernseite. Das nennt sich Just-in-time-Training. Es wirkt am stärksten, weil der Fehler noch frisch ist. Danach folgt eine allgemeine Schulung für alle. Somit schließt sich der Kreis. Die Phishing-Simulation misst nicht nur. Vielmehr bildet sie aus. Genau dieser vierte Schritt ist der wichtigste. Denn ohne ihn bleibt die Übung reine Statistik.

Wie oft sollten Sie das wiederholen? Ein guter Rhythmus liegt bei vier bis sechs Kampagnen pro Jahr. Seltener verpufft der Lerneffekt. Häufiger stumpft das Team ab. Wichtig ist deshalb die Regelmäßigkeit. Eine einmalige Aktion ist verschwendete Mühe. Denn erst die Wiederholung baut Muskeln auf, die im Ernstfall halten.

Ein Tipp zum Start: Beginnen Sie klein. Zunächst genügt eine Kampagne an eine Abteilung. Danach werten Sie aus und lernen daraus. Somit sammeln Sie Erfahrung ohne großes Risiko. Anschließend rollen Sie das Programm auf den ganzen Betrieb aus. Dieser schrittweise Weg nimmt Druck aus dem Projekt. Zudem gewöhnt sich das Team langsam an die Übung.

Rechtliches: Datenschutz und Betriebsrat

Die rechtliche Seite entscheidet über Erfolg oder Ärger. Eine Phishing-Simulation verarbeitet Daten und beobachtet Verhalten am Arbeitsplatz. Deshalb greifen in Österreich zwei Regelwerke: die DSGVO und das Arbeitsverfassungsgesetz. Wer das übersieht, riskiert Bußgelder. Zudem verspielt er das Vertrauen der Belegschaft. Klären Sie diese Punkte also vor dem ersten Versand.

Datenschutz nach DSGVO

Bei jeder Kampagne fallen Daten an. Das sind E-Mail-Adressen, Klickzeitpunkte, teils IP-Adressen. Somit ist die DSGVO im Spiel. Ihr Betrieb ist Verantwortlicher. Ein externer Anbieter ist meist Auftragsverarbeiter. Deshalb braucht es einen Auftragsverarbeitungsvertrag und eine Rechtsgrundlage. Werten Sie zudem streng aggregiert aus. Datensparsamkeit ist hier keine Kür, sondern Pflicht. Prüfen Sie außerdem, ob eine Datenschutz-Folgenabschätzung nötig ist.

Mitbestimmung des Betriebsrats

In Österreich ist die Mitbestimmung der Knackpunkt. Eine Phishing-Simulation gilt oft als Kontrollmaßnahme. Denn sie erfasst das Verhalten der Beschäftigten. Berührt sie die Menschenwürde, verlangt § 96 ArbVG eine Betriebsvereinbarung. Ohne Zustimmung des Betriebsrats ist die Maßnahme unzulässig. Zudem wären die Daten dann rechtswidrig gesammelt. Holen Sie den Betriebsrat also früh dazu. Somit redet er bei Zeitraum, Auswahl und Bewertung mit.

Keine namentliche Bloßstellung

Der wichtigste Grundsatz lautet: niemanden vorführen. Namentliche Klick-Listen und öffentliche Ranglisten sind tabu. Denn sie verletzen die Menschenwürde. Zudem zerstören sie jede Lernbereitschaft. Wer Angst vor Strafe hat, meldet keinen echten Angriff mehr. Genau das wäre der Super-GAU. Deshalb ist eine anonyme Auswertung keine nette Geste. Vielmehr ist sie die Grundlage einer funktionierenden Meldekultur.

Ein Wort zur Transparenz. Die konkrete Mail müssen Sie nicht ankündigen. Denn sonst wäre die Übung wertlos. Trotzdem soll die Belegschaft wissen, dass solche Tests stattfinden. Das steht in der Betriebsvereinbarung und der Datenschutzinformation. Somit nimmt diese Rahmung der Sache den Hinterhalt. Sie üben gemeinsam, statt jemanden in die Falle zu locken.

Die richtigen Metriken statt Klickzahl-Jagd

Die Klickrate ist die bekannteste Zahl. Allein taugt sie jedoch wenig. Eine reife Phishing-Simulation misst zwei Werte gemeinsam: wer klickt und wer meldet. Erst dieses Paar zeigt den Reifegrad. Zunächst soll die Klickrate sinken. Zugleich soll die Meldequote steigen. Nur auf die Klickzahl zu starren, führt hingegen in die Irre.

Klickrate und Meldequote im Duo

Die Klickrate zeigt, wie viele auf den Test hereinfielen. Typische Startwerte liegen bei 25 bis 35 Prozent, oft höher. Mit einem guten Programm sinkt der Wert über sechs bis zwölf Monate. In reifen Betrieben liegt er dann unter 5 Prozent. Die Meldequote misst hingegen, wie viele die Mail als verdächtig melden. Genau diese Zahl ist das stärkere Signal. Denn wer meldet, schützt das ganze Unternehmen.

Warum die Meldequote wichtiger ist

Ein Mensch, der klickt und dann meldet, ist wertvoller als einer, der schweigt. Denn die Meldung löst eine Reaktion aus. Zudem warnt sie andere. Deshalb sollten Sie das Melden belohnen. Das geht etwa mit einem sichtbaren Melde-Button und einem kurzen Dank. Streben Sie außerdem eine Meldequote über 30 Prozent an, in reifen Programmen deutlich mehr. Somit ist eine hohe Meldequote der beste Beleg für eine gesunde Kultur.

Zur Orientierung eine kompakte Übersicht der wichtigsten Kennzahlen und ihrer Richtwerte:

Verlauf statt Momentaufnahme

Eine einzelne Zahl sagt wenig. Vielmehr zeigt der Trend über mehrere Kampagnen, ob Ihr Programm wirkt. Deshalb dokumentieren Sie jede Runde. Danach vergleichen Sie die Werte. Somit ist die Zeitreihe zugleich Ihr Nachweis für Prüfer und Versicherer. Vor allem eine Cyberversicherung fragt heute nach genau solchen Kennzahlen.

Ein Wort zur Fairness der Zahlen. Eine hohe Klickrate ist kein Zeichen für dumme Leute. Vielmehr zeigt sie oft ein gutes Szenario oder viel Stress im Alltag. Deshalb deuten Sie die Werte mit Augenmaß. Somit vergleichen Sie den eigenen Betrieb über die Zeit, nicht mit fremden Statistiken. Denn jeder Betrieb startet an einem anderen Punkt.

Klicker schulen statt bestrafen

Der häufigste Fehler ist die Bestrafung. Wer Klicker abmahnt, erreicht das Gegenteil. Denn Menschen werden dann vorsichtig gegenüber der IT, nicht gegenüber Angreifern. Eine gute Phishing-Simulation belohnt hingegen das Lernen. Zudem verzeiht sie Fehler. Genau diese Haltung trennt ein Frust-Projekt von einem echten Gewinn.

Der Klick ist kein Verbrechen

Jeder kann in einem stressigen Moment klicken. Das gilt für die Buchhaltung ebenso wie für die Geschäftsführung. Deshalb behandeln Sie einen Klick als Lernanlass. Die Lernseite erklärt ruhig, woran die Mail zu erkennen war. Kein erhobener Zeigefinger, vielmehr ein konkreter Tipp. Somit wird aus dem Schreck nützliches Wissen. Genau dieser Ton entscheidet über die Akzeptanz.

Do's und Don'ts im Überblick

Führung geht voran

Macht die Geschäftsführung mit, sinkt die Angst spürbar. Zudem spricht sie offen über eigene Fehltritte. Somit wird Sicherheit zur gemeinsamen Sache. Das passt gut zum Wissen über Social Engineering. Denn es erklärt dem Team die Tricks der Angreifer. Wer die Masche versteht, fällt seltener darauf herein. Ebenso meldet er lieber einmal zu viel als zu wenig.

Eine ähnliche Sensibilität braucht es beim Thema KI. Denn Angreifer nutzen längst Sprachmodelle für echte wirkende Mails. Deshalb gehört die neue KI-Schulungspflicht aus dem AI Act in dieselbe Landschaft. Beide Themen zielen auf dasselbe: mündige Beschäftigte, die Manipulation erkennen. Somit ist eine Phishing-Simulation der praktische Übungsplatz dafür.

Einbettung in ein Awareness-Programm

Eine Phishing-Simulation entfaltet ihren Wert erst im Verbund. Allein bleibt sie ein Test. Eingebettet wird sie hingegen zum Motor eines lernenden Betriebs. Deshalb koppeln Sie die Kampagnen an Schulungen, Richtlinien und eine offene Fehlerkultur. Somit entsteht ein Kreislauf, der sich selbst verbessert. Genau das erwartet auch die Regulatorik von einem KMU.

Teil eines größeren Ganzen

Ordnen Sie die Simulation in ein durchdachtes Awareness-Konzept ein. Dazu gehören Basisschulungen, klare Regeln und ein einfacher Meldeweg. Die Kampagnen liefern die Praxis. Die Schulungen liefern das Wissen. Somit wirkt beides zusammen. Für den Rahmen sorgt zudem ein Informationssicherheits-Ansatz. Denn er verzahnt die Awareness-Arbeit mit Technik und Organisation.

Anschluss an ISMS und KMU-Praxis

Ein ISMS nach ISO 27001 verlangt ohnehin dokumentierte Sensibilisierung. Somit füllen die Kennzahlen aus Ihren Kampagnen diesen Nachweis. So schlagen Sie zwei Fliegen mit einer Klappe. Für kleinere Betriebe skaliert das Ganze problemlos. Das zeigt unser Leitfaden zur Cybersecurity für KMU. Sie brauchen kein großes Budget. Vielmehr zählen ein fester Rhythmus und die richtige Haltung.

Wo intern die Kapazität fehlt, hilft externe Steuerung. Ein virtueller CISO plant die Kampagnen und wertet sie aus. Zudem hält er die Fäden zusammen. Somit entlastet er Ihre IT und bringt Erfahrung ins Haus. Auch die Behörden unterstützen. Die Initiative onlinesicherheit.gv.at und die Agentur ENISA bieten frei nutzbare Materialien. Ergänzend liefert die Wirtschaftskammer praxisnahe Hilfen für den Mittelstand.

Am Ende zählt die Kontinuität. Eine Phishing-Simulation ist kein Projekt mit Enddatum. Vielmehr ist sie eine Routine. Zunächst läuft sie, danach misst und schult sie, danach misst sie erneut. Wer diesen Takt hält, senkt sein Risiko messbar und über Jahre. Wer unsicher beim Start ist, holt sich zudem früh Rat. Sprechen Sie uns dazu gerne über die Kontaktseite an.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Ist eine Phishing-Simulation in Österreich überhaupt erlaubt?

Ja, allerdings unter Bedingungen. Denn sie verarbeitet personenbezogene Daten und beobachtet Verhalten. Deshalb braucht es meist eine Betriebsvereinbarung nach § 96 ArbVG. Zudem ist eine saubere Datenschutzgrundlage nötig. Ohne Zustimmung des Betriebsrats ist die Maßnahme in der Regel unzulässig.

Muss der Betriebsrat der Phishing-Simulation zustimmen?

In den meisten Fällen ja. Denn eine solche Übung gilt als Kontrollmaßnahme, die das Verhalten erfasst. Berührt sie die Menschenwürde, ist eine Betriebsvereinbarung nötig. Holen Sie den Betriebsrat deshalb früh dazu. Somit regeln Sie Zeitraum, Auswahl und Bewertung gemeinsam.

Darf ich einzelne Klicker namentlich nennen?

Nein. Denn namentliche Listen und öffentliche Ranglisten verletzen die Menschenwürde. Zudem zerstören sie die Meldekultur. Werten Sie deshalb immer aggregiert aus. Wer Angst vor Strafe hat, meldet echte Angriffe nicht mehr. Genau das wollen Sie verhindern.

Wie oft sollte eine Phishing-Simulation stattfinden?

Ein sinnvoller Rhythmus liegt bei vier bis sechs Kampagnen pro Jahr. Seltener verpufft der Lerneffekt. Häufiger stumpft die Belegschaft ab. Wichtig ist deshalb die Regelmäßigkeit. Denn erst die Wiederholung baut belastbares Verhalten auf.

Welche Klickrate ist normal und welche gut?

Typische Startwerte liegen bei 25 bis 35 Prozent, oft höher. Mit einem guten Programm sinkt die Klickrate über sechs bis zwölf Monate. In reifen Betrieben liegt sie dann unter 5 Prozent. Noch aussagekräftiger ist hingegen die Meldequote. Denn sie zeigt aktives Schutzverhalten.

Was ist wichtiger, Klickrate oder Meldequote?

Die Meldequote. Denn wer eine Mail meldet, warnt das Unternehmen und löst eine Reaktion aus. Somit ist ein Klick mit Meldung wertvoller als bloßes Nichtstun. Streben Sie deshalb eine Meldequote über 30 Prozent an, in reifen Programmen deutlich mehr.

Brauche ich für eine Phishing-Simulation eine teure Software?

Nein. Auch kleine Betriebe kommen mit wenig Mitteln aus. Wichtiger als das Tool sind ein fester Rhythmus und eine faire Auswertung. Ebenso zählt die anschließende Schulung. Wo intern die Zeit fehlt, übernimmt zudem ein externer Partner Planung und Auswertung.

Fazit: Üben statt vorführen

Eine Phishing-Simulation ist ein starkes Werkzeug, wenn Sie es richtig einsetzen. Zunächst planen Sie sauber. Danach klären Sie Datenschutz und Betriebsrat. Anschließend messen Sie Klickrate und Meldequote gemeinsam. Schulen Sie zudem die Klicker, statt sie zu bestrafen. Wiederholen Sie das Ganze außerdem in festem Takt. Somit sinkt Ihr Risiko messbar, und Ihre Belegschaft wird zur aktiven Verteidigungslinie.

Der Kern ist eine Haltung: gemeinsam üben, nicht jemanden erwischen. Wer diesen Ton trifft, baut eine Kultur auf, die im Ernstfall trägt. Der beste Zeitpunkt zum Start ist deshalb die nächste ruhige Woche. Kleiner Rahmen, klare Regeln, ehrliche Auswertung. Somit wächst das Programm von dort ganz von selbst.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren